Nuovi malware loader prendono di mira gli utenti Windows tramite ClickFix e Teams

I ricercatori di sicurezza hanno documentato due nuovi malware loader per Windows, WordlistLoader e SynkLoader, che utilizzano pagine CAPTCHA finte e phishing su Microsoft Teams per distribuire un information stealer e catturare le password di accesso. Gen Digital ha riferito che WordlistLoader viene utilizzato nelle campagne ClearFake per installare Amatera Stealer, anche tracciato come ACR Stealer o AcridRain Stealer, attraverso la tecnica ClickFix. In un attacco ClickFix, un sito mostra una casella "Non sono un robot" convincente; dopo che un visitatore ci clicca sopra, un comando dannoso viene copiato negli appunti e alla vittima viene detto di incollarlo nella finestra di dialogo Esegui di Windows ed eseguirlo. Quel comando scarica WordlistLoader e alla fine esegue Amatera, secondo il ricercatore di sicurezza Vojtěch Krejsa.

I prompt ClickFix vengono iniettati in siti web reali che gli aggressori hanno già compromesso. Il JavaScript dannoso viene aggiunto come blob codificato in Base64 (Base64 è una codifica di testo che può nascondere il codice reale). Quel blob contatta uno smart contract memorizzato su una blockchain per recuperare un altro pezzo di JavaScript ed eseguirlo, una tecnica che i ricercatori chiamano EtherHiding, perché il codice dannoso è nascosto sulla blockchain. Alcuni siti compromessi osservati che servivano questi prompt includevano abogadosrosarinos[.]com, aptisweb[.]com, avene-hebergement[.]com, https-xhamster[.]com, www.caesarjaco.co[.]id e skybap[.]shop. Negli ultimi mesi, le campagne ClearFake hanno anche abusato della rete di distribuzione di contenuti legittima cdn.jsdelivr.net per ospitare il JavaScript dannoso e lo script PowerShell dell'aggressore. Expel ha notato che jsDelivr tende a rimuovere rapidamente i repository dell'attore, ma EtherHiding consente agli aggressori di cambiare gli URL bruciati con nuovi funzionanti. Il comando ClickFix stesso è progettato per essere furtivo: avvia un processo cmd.exe nascosto tramite conhost, mappa una condivisione WebDAV remota (una condivisione di file di rete) con pushd, e poi avvia il loader con rundll32.exe (uno strumento legittimo di Windows per eseguire codice da un file di libreria). Microsoft ha descritto separatamente lo stesso approccio WebDAV in tre forme di comando registrate: una chiamata diretta a rundll32, una condivisione WebDAV montata con pushd seguita da rundll32.exe, e un'esecuzione pushd offuscata headless seguita da rundll32.exe, l'ultima corrispondente alla catena di infezione di WordlistLoader. Nella variante avanzata, il comando usa conhost.exe --headless per nascondere le finestre della console e usa l'offuscamento delle variabili d'ambiente con espansione ritardata delle variabili per nascondere pushd, rundll32 e il nome dell'host remoto.

WordlistLoader è una fase intermedia nella catena di infezione di Amatera. Il suo compito principale è ricostruire lo shellcode, codice macchina grezzo che funge da punto di ingresso per le fasi successive. Gen Digital ha dichiarato che il loader utilizza un metodo basato su hardware breakpoint per bypassare Event Tracing for Windows (ETW), un sistema di registrazione integrato di Windows, così lascia meno tracce. La famiglia di malware prende il nome perché lo shellcode è memorizzato come una sequenza di parole inglesi semplici, con ogni parola che rappresenta un byte. Gen ha anche trovato una variante che memorizza lo shellcode come un array di chunk codificati UUID da 16 byte (identificatori casuali lunghi). Lo shellcode ricostruito passa poi il controllo a un reflective loader, una tecnica che carica un programma direttamente in memoria senza scriverlo su disco, e quel reflective loader decomprime e carica Amatera 4.3.3-alpha1. Lo stesso reflective loader è stato visto a fine aprile 2026 in un'altra campagna ClickFix. All'inizio del 2026, i ricercatori hanno osservato loader basati su Python che distribuivano ACR Stealer, ma ora sono stati sostituiti da WordlistLoader. ACR Stealer è stato anche diffuso tramite prompt ClickFix che attivano MSHTA, l'host di applicazioni HTML di Windows, per recuperare ed eseguire contenuti HTA remoti, portando a un loader VBScript che decodifica PowerShell e recupera un'immagine JPEG da un servizio di hosting di immagini per estrarre il payload dello stealer in memoria. L'ultima versione di Amatera aggiunge offuscamento statico aggiornato, invocazione di syscall indurita tramite la transizione WoW64 (il sottosistema di Windows che consente ai programmi a 32 bit di funzionare su Windows a 64 bit), trampolini per syscall indiretti x64 generati dinamicamente invocati tramite Heaven's Gate (una tecnica per passare da codice a 32 bit a codice a 64 bit) e un bypass di crittografia legata all'applicazione ridisegnato ispirato a Remus Stealer.

Separatamente, Expel ha rilevato SynkLoader in una campagna di phishing su Microsoft Teams a metà agosto 2025. Un aggressore che utilizzava un indirizzo email Microsoft 365 onmicrosoft.com e il nome visualizzato "IT Service Desk" ha contattato un obiettivo e lo ha convinto a scaricare e installare un installer MSI (un pacchetto di installazione Microsoft) da un endpoint di archiviazione file di Azure (filereserve.blob.core.windows[.]net/vgnghuyk/331/331.msi). L'installer si presentava come PowerShell Cleaner, e poiché il file proveniva da un URL di archiviazione blob di Microsoft Azure (l'archiviazione file cloud di Microsoft) sembrava provenire da Microsoft. Una volta eseguito, l'MSI estraeva un archivio ZIP e uno script PowerShell; lo script veniva eseguito in memoria e avviava un loader basato su Python. Quel loader sceglie casualmente uno dei tre domini di comando e controllo (C2) hard-coded (server che gli aggressori usano per inviare istruzioni ai computer infetti), contatta il server e dorme per 90-120 secondi tra le richieste prima di decrittare ed eseguire ciò che il server restituisce. Expel ha identificato almeno sette moduli: un System Profiler scritto in C# che raccoglie informazioni sulla macchina; un modulo di persistenza che crea un'attività pianificata con nome casuale per avviare SynkLoader a ogni accesso e ogni giorno alle 10:00; PhishLocker, che mostra una falsa schermata di blocco di Windows per rubare la password dell'utente; TrafficRedirector, un proxy inverso che dà all'aggressore accesso ai servizi di rete locali; un trojan di accesso remoto (RAT) con shell interattiva per eseguire comandi PowerShell; StreamMaster, un modulo VNC (Virtual Network Computing) per trasmettere il desktop della vittima e controllare mouse e tastiera; e uno script Status Checker che segnala quali moduli sono attivi. Il ricercatore di Expel Marcus Hutchins ha descritto il contatto iniziale. Non è ancora chiaro quale sia l'obiettivo finale dell'operatore, ma Expel sospetta che il toolkit possa appartenere a un gruppo di ransomware o a un initial access broker, un criminale che irrompe nelle reti e vende quell'accesso ad altri.

In un seguito condiviso dopo la pubblicazione originale, aggiornato il 26 agosto 2026, ReliaQuest ha dichiarato di aver osservato lo stesso loader PowerShell SynkLoader diffuso tramite vishing (voice phishing, telefonate che ingannano le persone) e messaggi di Microsoft Teams che impersonavano il personale di supporto IT. Le catene di consegna portano ancora le vittime a un MSI fraudolento "PowerShell Cleaner" ospitato su Azure Blob Storage legittimo, rispecchiando i risultati di Expel. ReliaQuest ha aggiunto che SynkLoader decritta il suo payload in memoria e controlla un hash crittografico prima di eseguirlo; se il payload è stato modificato o estratto in modo errato, il loader fallisce silenziosamente invece di continuare. Il loader è stato anche osservato mentre distribuiva una backdoor Python modulare chiamata ss[.]py che recupera le sue capacità da un server di comando e controllo in fase di esecuzione piuttosto che incorporarle nel payload. Ciò riduce la visibilità forense e consente all'operatore di aggiungere nuove funzioni senza modificare il file consegnato. ReliaQuest ha riassunto la campagna come una combinazione di infrastruttura di hosting cloud affidabile, impersonificazione del supporto IT, esecuzione di PowerShell in memoria e componenti Python recuperati dinamicamente per rimanere sotto il radar dei controlli di posta elettronica, rete e sandbox. Per i proprietari di siti web, il lato ClickFix di questa storia è un promemoria che qualsiasi sito legittimo può essere trasformato in una pagina di consegna se non viene mantenuto aggiornato e monitorato; l'hosting WordPress gestito con monitoraggio di sicurezza integrato, come AEU Hosting, è un modo pratico per ridurre questo rischio.